[doc. web n. 10310707]

Provvedimento del 7 ottobre 2026

Registro dei provvedimenti
n. 747 del 7 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, Regolamento);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito, Codice);

VISTO il reclamo presentato ai sensi dell’art. 77 del Regolamento dalla signora XX, domiciliata presso lo studio dell’XX nei confronti di Poste Italiane S.p.A.; 

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Reclamo.

Con reclamo presentato il 5 gennaio 2024, l’istante, dipendente di Poste Italiane (di seguito, anche Poste o Società), ha rappresentato che, a seguito di una richiesta di finanziamento avanzata a Deutsche Bank (di seguito, anche Banca) -tramite il portale da quest’ultima messo a disposizione di Poste per i propri dipendenti- la Banca “nel negare il finanziamento inseriva nella piattaforma (accessibile a tutto il personale di Poste Italiane S.p.A. preposto alla gestione delle pratiche di finanziamento, nonché a tutto il personale che accede tramite la postazione del direttore dell’Ufficio Postale di Portacomaro Stazione -Comune di Asti) l’informazione che l’esponente” aveva impegni finanziari in corso, riportando il relativo importo e il reddito netto percepito dalla stessa interessata.

La reclamante ha altresì precisato che il modulo, pubblicato sul portale di Poste, da compilare per la presentazione della domanda di finanziamento, “non contempla lo spazio per l’inserimento del dato relativo all’ammontare dello stipendio della richiedente, in quanto tale dato viene per convenzione fornito direttamente da Poste Italiane S.p.A.” e che, nell’informativa resa, la Banca dichiara che “non comunicherà a Poste le informazioni creditizie e i dati personali riscontrati nel SIC CRIF [Sistemi di informazione creditizia, di seguito Sic], ma trasmetterà esclusivamente l’esito della verifica […] a Poste che, in qualità di Responsabile esterno del trattamento dei dati, lo comunicherà al Richiedente”.

A seguito delle istanze presentate a Deutsche Bank e a Poste, con le quali l’interessata contestava il trattamento dei propri dati e chiedeva la cancellazione degli stessi, le Società fornivano riscontri, ritenuti non soddisfacenti dalla stessa interessata.

Tenuto conto che l’Ufficio, da un preliminare esame del reclamo e della relativa documentazione, riteneva necessario, al fine di una compiuta verifica della vicenda, avviare l’attività istruttoria, non solo nei confronti di Deutsche Bank, ma anche di Poste (soggetto nei confronti del quale l’interessata non aveva ritenuto di proporre il reclamo), con nota del 29 gennaio 2024 (prot. n. 11166), invitava la reclamante a comunicare il proprio interesse a proseguire nel reclamo anche nei confronti di Poste, proprio datore di lavoro, circostanza che l'interessata confermava, con nota del 12 febbraio 2024.

2. L’attività istruttoria svolta.

L’ufficio ha quindi avviato una complessa attività istruttoria, nei confronti di Deutsche Bank e di Poste, inviando specifiche richieste di informazioni, ai sensi dell’art. 157 del Codice, al fine di ottenere informazioni e documentazione utile a chiarire i rapporti contrattuali tra le predette Società e i ruoli soggettivi dalle stesse ricoperti, ai fini privacy, nonché le modalità del trattamento dei dati connesso alle richieste di finanziamento e i dati reciprocamente scambiati tra la Banca e Poste.

A seguito della richiesta di informazioni inviata il 23 luglio 2024 (prot. n.90736), Poste, con nota del 7 agosto 2024, ha chiesto una proroga del termine precedentemente fissato per trasmettere i chiarimenti richiesti. L’Ufficio ha accolto la richiesta, in ragione delle motivazioni nella stessa indicate, e ha fissato il termine al 12 settembre 2024 (nota n. 104376 del 04 settembre 2024). 

Con nota del 12 settembre 2024, Poste, nel ricostruire la vicenda oggetto del reclamo, ha evidenziato di avere proceduto “senza ritardo […] di concerto con la Banca, […] alla cancellazione dei dati oggetto di segnalazione dagli archivi aziendali” dandone notizie all’interessata, alla quale era stato, altresì, evidenziato “che tutti gli addetti di Poste Italiane i quali nell’esecuzione delle proprie mansioni avevano acceduto alla pratica di finanziamento erano dotati della qualifica di persone autorizzate al trattamento e debitamente istruite in tale senso”.

Con riferimento agli ulteriori aspetti oggetto della richiesta di informazioni, Poste ha rappresentato quanto segue in relazione agli ulteriori aspetti richiesti:

- circa i ruoli soggettivi intercorrenti tra Deutsche Bank S.p.A. e Poste Italiane S.p.A., l’attività creditizia svolta, in tale ambito, è disciplinata dalla “Convenzione per il Prestito BancoPosta”, sottoscritta tra la Banca e Poste Italiane; 

- “il trattamento dei dati personali […] degli interessati che chiedono un Prestito BancoPosta è svolto dalla Banca e da Poste Italiane in veste di autonomi titolari del trattamento stesso. Tuttavia: 

- con riguardo alla comunicazione da parte di Poste Italiane alla Banca dei parametri di valutazione del richiedente il prestito, la Banca opera quale responsabile del trattamento per conto di Poste Italiane in relazione ai Dati da quest’ultima comunicati; 

- relativamente all’invio da parte della Banca a Poste Italiane dell’esito della verifica preliminare della richiesta di finanziamento, Poste Italiane opera quale responsabile del trattamento per conto della Banca con riferimento ai Dati da quest’ultima comunicati”;

- le richieste di prestito sono gestite tramite un sistema informatico indipendente di Poste Italiane, collegato con quello della Banca a fini d’integrazione dei flussi informativi;

- i dati sono raccolti direttamente presso gli interessati, al momento della richiesta di prestito. “Fanno eccezione a questa regola le seguenti informazioni fornite dalla Banca a Poste Italiane: 

- valutazione di “pre-scoring” della richiesta di finanziamento; 

- stato della pratica di finanziamento”; 

nonché "le informazioni fornite da Poste Italiane alla Banca, consistenti in uno score elaborato aggregando indicatori derivanti da rapporti finanziari già in essere con la stessa Poste Italiane e quindi a partire da informazioni già presenti negli archivi di quest’ultima”;

- all’esito della verifica sul merito creditizio degli interessati, “eseguibile solo dalla Banca e rientra pienamente e unicamente nelle prerogative di quest’ultima”, la stessa Banca comunica a Poste anche gli “stati pratica”: “- pratica caricata, in lavorazione (presso la Banca o Poste Italiane) o deliberabile; - pratica liquidata; - pratica rifiutata”.

Nell'ambito dell'istruttoria parallela effettuata nei confronti della Banca, l'Ufficio acquisiva documenti e chiarimenti necessari ai fini delle valutazioni in relazione anche al trattamento dei dati effettuato da Poste, da Deutsche Bank in data12 settembre 2024 e 18 marzo 2025.

3. L’avvio del procedimento.

L’Ufficio, sulla base degli elementi acquisiti in sede istruttoria da Poste e dalla Banca, ha notificato a Poste, con nota prot. n. 99987 del 16 luglio 2025, l’atto di avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 del Regolamento, in conformità a quanto previsto dall’art. 166, comma 5, in relazione alla corretta individuazione dell’effettivo titolare del trattamento, nonché dei principi di liceità e trasparenza con riferimento all’informativa resa agli interessati nell’ambito del rapporto di collaborazione con la Banca (artt. 5, par.1, lett. a), 13 e 28 del RGPD). 

Con nota del 1° agosto 2025, Poste ha chiesto una proroga per formulare i propri scritti difensivi ai sensi dell’art. 13, comma 3, del Regolamento del Garante n. 1/2019 (concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante) che l’Ufficio ha concesso, fissando il termine al 15 settembre 2025 (nota n. 109001 del 05 agosto 2025). 

Con gli scritti difensivi il 15 settembre 2025, Poste ha fornito chiarimenti in ordine ai profili oggetto di contestazione. In particolare, con riferimento all’informativa: 

- tenuto conto che “il trattamento non presenta caratteri particolari o anomali rispetto ai tipici trattamenti svolti non solo dalla Società”, ma anche dagli altri soggetti che operano “nel contesto della gestione e intermediazione di pratiche di finanziamento”, al fine di evitare la violazione di quanto previsto in tema di informativa concisa e trasparente (art. 12, paragrafo 1 del RGPD e delle “Linee guida sulla trasparenza ai sensi del regolamento 2016/679” adottate dal Gruppo di Lavoro Articolo 29 per la Protezione dei dati) e “il rischio di subissamento informativo”, Poste ha deciso di “privilegiare un approccio sintetico nel rilascio delle informazioni di cui all’art. 13 del Regolamento”;

- in questa ottica, ha deciso di “privilegiare il profilo dell’efficienza, onde aumentare le probabilità che la Reclamante procedesse effettivamente a leggere e analizzare con la dovuta attenzione l’Informativa medesima” rispetto a “quello di efficacia (cioè, fornire alla Reclamante medesima un’Informativa estremamente dettagliata in merito ai singoli aspetti del Trattamento), […] – tenuto conto del carattere standardizzato del Trattamento e della contestuale consegna alla Reclamante di un già di per sé corposo complesso documentale connesso alla richiesta di finanziamento”;

- nell’evidenziare che “i contenuti e modi di rilascio agli interessati delle informazioni sul trattamento dei dati personali devono essere definiti caso per caso dal titolare del trattamento medesimo, sulla scorta dei principi di responsabilizzazione e protezione dei dati fin dalla progettazione – oltre che di approccio basato sul rischio – definiti nel Regolamento” ha rappresentato che nel caso in esame, “avendo identificato un concreto rischio di configurazione di fenomeni di cosiddetta ‘privacy fatigue’ (intesa come senso di scoramento e stanchezza psicologica dell’interessato rispetto alla complessità e al numero di materiali da visionare e adempimenti da gestire in relazione alla protezione dei propri dati personali) – ha ritenuto opportuno redigere l’Informativa in termini maggiormente generali e sintetici, ma più immediatamente fruibili;.

- “senza che ciò possa in alcun modo configurarsi come assunzione di responsabilità al riguardo”, ha rappresentato di avere provveduto nel 2025 a un aggiornamento dell’informativa avente “una descrizione più granulare dei trattamenti dei dati personali della clientela svolti dalla Società” e che è in via di definizione “una bozza d’informativa specifica inerente al trattamento di dati personali svolto nell’ambito delle attività d’intermediazione creditizia”.

Con riferimento ai ruoli soggettivi ricoperti, Poste ha affermato, circa la designazione di Deutsche Bank quale responsabile del Trattamento, che: 

- “la nomina della Banca quale responsabile del Trattamento è stata il frutto di una valutazione svolta dalla Banca medesima e dalla Società in una fase di primitiva applicazione del Regolamento e in una condizione di rilevante incertezza giuridica”;

- “ove anche dovesse risultare confermata un’erronea identificazione dei ruoli nel Trattamento, essa debba qualificarsi come il frutto di un errore di analisi giuridica commesso dalla Banca e dalla Società in totale buona fede e in assenza di una chiara, consolidata e inequivoca prassi applicativa e/o decisionale di riferimento sul tema”;

- di avere avviato, “senza che ciò possa in alcun modo configurarsi come assunzione di responsabilità al riguardo […] un tavolo di lavoro con la Banca per revisionare gli accordi contrattuali in essere in materia di protezione dei dati personali e conseguentemente superare la qualifica della Banca medesima come responsabile del Trattamento”.

Circa il ruolo svolto da Poste quale responsabile del Trattamento che: 

- rientra tra le “attività affidate all’intermediario del credito (cioè, la Società) da parte del finanziatore (cioè, la Banca) il compito di chiarire e illustrare al cliente interessato i motivi della mancata accettazione della richiesta di finanziamento”;

- tale impostazione appare in linea con la normativa in materia di credito al consumo (art. 121, c. 1, lett. h) del d.lgs. n. 385 del 1° settembre 1993), secondo la quale “nell’attività d’intermediazione creditizia la presentazione o proposta di contratti di credito ovvero lo svolgimento di altre attività preparatorie in vista della conclusione di tali contratti. In altri termini, l’attività d’intermediazione creditizia svolta dalla Società in veste di responsabile del Trattamento per conto della Banca includeva e include anche un’indefettibile componente consulenziale consistente nel supporto al cliente interessato: 

- nella predisposizione di una richiesta di finanziamento; 

- nell’analisi e nella comprensione dei motivi dell’eventuale rigetto della richiesta stessa; 

- nell’identificazione della possibilità di formulare una nuova richiesta includendo elementi che possano aumentarne la probabilità di accettazione (per esempio, inclusione di nuove garanzie personali o reali) o scegliendo altre soluzioni creditizie maggiormente in linea con le caratteristiche del cliente interessato. 

- nel trattare i dati comunicati dalla Banca “non è uscita dall’alveo definito nella nomina a responsabile del Trattamento rilasciata dalla Banca medesima, costituendo le attività di consulenza, analisi dei motivi del rigetto di richieste di finanziamento e identificazione di possibili soluzioni alternative degli elementi funzionali tipici dell’attività d’intermediazione creditizia”.

4. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori di cui all’art. 58, par. 2, del Regolamento.

In via preliminare, si precisa che la presente attività istruttoria, seppure avviata con riferimento a un reclamo, è stata successivamente estesa d'ufficio per approfondire alcuni profili relativi, più in generale, al trattamento dei dati degli interessati nell’ambito dell’attività di promozione e collocamento del “Prodotto BancoPosta”.

Nel corso dell’istruttoria, l’Ufficio ha preso atto, in primo luogo, che Poste, di concerto con la Banca, ha provveduto alla cancellazione dei dati dell’interessata, informandone tempestivamente quest’ultima.

Per quanto riguarda invece i profili generali del trattamento presi in esame, essi hanno riguardato; i ruoli soggettivi ricoperti da Poste e dalla Banca, i dati oggetto di comunicazione tra le stesse, nonché l’informativa resa agli interessati, ai sensi dell’art. 13 del RGPD. 

Ciò premesso, all’esito dell’attività istruttoria, tenuto conto di quanto emerso dalle dichiarazioni rese da Poste, nel corso del procedimento (della cui veridicità l’autore risponde ai sensi e per gli effetti di cui all’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), nonché della documentazione acquisita agli atti del procedimento anche da Deutsche Bank, nell’evidenziare che i chiarimenti resi da Poste con le memorie difensive presentate il 15 settembre 2025, hanno fornito un quadro più chiaro e completo delle diverse fasi del processo di erogazione del credito associato al prodotto BancoPosta e del trattamento dei dati degli interessati in tale ambito, si rappresenta quanto segue.

Con riferimento al profilo dell’informativa, si osserva, in primo luogo, che il principio di trasparenza fissato dall’art. 5 par. 1, lett. a) del RGPD non ha un carattere puramente formale, né costituisce un mero adempimento burocratico, ma sancisce il diritto per l’interessato di comprendere chiaramente tutti gli aspetti relativi al trattamento dei suoi dati.

La scelta delle modalità con cui il titolare del trattamento fornisce l’informativa agli interessati e il contenuto della stessa, rientra nella “valutazione discrezionale compiuta dalla Società sulla scorta del principio di responsabilizzazione”.

Nelle memorie, Poste, ha rappresentato che volendo evitare di “rendere troppo prolissa l’Informativa medesima” […] ha consapevolmente deciso di non procedere” con una descrizione più dettagliata ed estesa del trattamento, privilegiando il profilo dell’efficienza, ovvero una informativa di facile e immediata fruizione per gli interessati rispetto a quello dell’efficacia consistente in “un’Informativa estremamente dettagliata in merito ai singoli aspetti del Trattamento”.

Si ritiene essenziale evidenziare che la scelta di redigere un’informativa conforme all’art. 12, paragrafo 1, del RGPD — dunque concisa e trasparente — implica sicuramente che essa debba essere strutturata in modo chiaro e sintetico, evitando un eccesso di informazioni che ne comprometterebbe la comprensibilità. 

Allo stesso tempo però, l’informativa deve risultare efficace, ossia idonea a rendere l’interessato realmente consapevole del trattamento dei propri dati, delle relative finalità, dei possibili rischi, delle tutele riconosciute e delle modalità attraverso cui può esercitare il controllo sui flussi informativi che lo riguardano.

L’applicazione del principio di “concisività” e completezza non sono, infatti, requisiti alternativi; affinché l’informativa possa considerarsi idonea devono essere rispettati entrambi, pertanto, la scelta di privilegiare un aspetto rispetto all’altro non soddisfa i requisiti richiesti. 

Il titolare del trattamento è infatti tenuto a fornire all’interessato le “informazioni necessarie ad assicurare un trattamento corretto e trasparente, prendendo in considerazione le circostanze e del contesto specifici in cui i dati personali sono trattati” (considerando 60 del RGPD), principio questo evidenziato anche nelle Linee guida sulla trasparenza ai sensi del Regolamento 2016/679, che stabiliscono che le informazioni devono essere concrete e “non dovrebbero essere formulate in termini astratti”.

Del resto, nella stessa ottica si pongono, in relazione agli aspetti contrattuali tra le parti, le disposizioni della Banca d’Italia concernenti “Trasparenza delle Operazioni e dei Servizi Bancari e Finanziari” del 29 luglio 2009 e succ. mod., che, nel definire le informazioni che le banche devono rendere agli interessati richiedono che le stesse siano fornite “in modo corretto, chiaro ed esauriente nonché adeguato […] alle caratteristiche dei servizi e della clientela”.

In relazione ai ruoli soggettivi ricoperti dalla Banca e da Poste al fine di un corretto inquadramento della vicenda, si ritiene opportuno richiamare le disposizioni contenute nel d.P.R. 14 marzo 2001, n. 144 (Regolamento di semplificazione dei servizi di Bancoposta) con il quale sono state stabilite le norme di riferimento per l'attività finanziaria di Poste Italiane S.p.A. nei confronti del pubblico.

Il citato Regolamento prevede il divieto per Poste di esercitare attività di concessione di finanziamenti nei confronti del pubblico e riconosce la possibilità di svolgere attività di promozione e collocamento di prodotti e servizi bancari e finanziari fuori sede, operando in qualità di intermediario, rispetto a banche e società finanziarie, quali soggetti erogatori del prestito, i cui rapporti sono regolati da appositi accordi e convenzioni (art. 2, commi 8 e 9-bis del d.P.R. cit.)

Dal contesto delineato, emerge che i compiti e le responsabilità che gravano su Poste e sulla Banca, pur connessi tra loro, risultano diversi e distinti, anche con riferimento al rapporto contrattuale che ognuna di loro intrattiene con l’interessato. 

Ciò, trova conferma negli elementi acquisiti nel corso dell’istruttoria, dal cui esame emerge che, nella fase di richiesta e verifica del finanziamento, Poste provvede alla raccolta e al controllo dei dati degli interessati e degli eventuali coobbligati, anche al fine di collocare il prodotto finanziario più rispondente alle esigenze e alle capacità economiche del richiedente; trasmette quindi i dati alla Banca, prevedendo, ove la richiesta provenga da un titolare di conto corrente, anche la trasmissione, in forma aggregata, di indicatori generati da rapporti in essere con Poste (giacenza media, saldo di conto corrente, ecc.); comunica, infine, all’interessato, al termine dell’istruttoria, l’esito della richiesta. 

La Banca, in qualità di soggetto finanziatore, svolge invece l’attività istruttoria per la valutazione del merito creditizio dell’interessato, all’esito della quale assume la decisione di concedere o negare il finanziamento che è “subordinata all’esclusivo, discrezionale ed insindacabile giudizio della Banca”, (v. Modulo di verifica dei dati per la richiesta di finanziamento”); assunta la propria decisione, la Banca trasmette a Poste l’esito della richiesta affinché lo comunichi al richiedente il finanziamento. 

La Banca, ai sensi del quadro normativo di settore (artt. 120-undecies, comma 1 e 124-bis, comma 1 del Testo Unico Bancario, di seguito, TUB), svolge pertanto l'attività propria del soggetto finanziatore in relazione alla quale determina quindi le finalità e i mezzi del trattamento, operando quindi quale autonomo titolare, ai sensi dell’art. 4, n. 7 del Regolamento. 

Parallelamente, Poste mantiene una autonoma titolarità, nell’ambito del distinto rapporto con l’interessato, effettuando un’attività di intermediazione e mantenendo con lo stesso un rapporto autonomo, che permane anche all’esito di una eventuale valutazione negativa da parte della Banca, a seguito della quale Poste può proporre altre soluzioni di finanziamento (rivolgendosi ad altre banche) più congeniali alle esigenze e alla situazione creditizia del cliente stesso.

Da quanto sopra, ne deriva che, anche nella fase della reciproca comunicazione dei dati degli interessati, le Società operano quali autonomi titolari del trattamento, poiché ciascuna agisce sulla base di distinti rapporti contrattuali con il cliente, nei limiti della necessità dell’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso (art. 6, paragrafo 1, lett. b del Regolamento). 

Dagli elementi acquisiti, risulta infatti che Poste opera nell’ambito di un distinto rapporto con l’interessato e tratta i dati personali, a quest’ultimo riferiti, per finalità proprie, connesse all’attività di intermediazione, mentre, dal canto suo, la Banca determina autonomamente le finalità e i mezzi essenziali del trattamento connesso alla valutazione del merito creditizio dell’interessato -per effettuare la quale, è necessario che riceva da Poste i dati relativi al richiedente il prestito- e assume, in via esclusiva, la decisione circa la concessione o il diniego del finanziamento. 

Ne consegue pertanto che le attività di trattamento poste in essere da Poste e dalla Banca, compresa la comunicazione dei dati relativi al richiedente il prestito, non sono effettuate da una parte per conto dell'altra, ma rientrano nei limiti di quanto necessario all'esecuzione dei rispettivi rapporti contrattuali o delle misure precontrattuali richieste dall'interessato (art. 6, par. 1, lett. b), del Regolamento), ferma restando l'autonoma responsabilità, di ciascun titolare, quanto alla liceità, correttezza, trasparenza e pertinenza dei trattamenti effettuati.

Tale orientamento trova conferma anche dalle “Linee Guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR” adottate dall’EDPB il 7 luglio 2021. 

In esse infatti, nell’evidenziare che il ruolo “di titolare del trattamento si basa su un’analisi fattuale piuttosto che formale”, si chiarisce che “Il ruolo di titolare e di responsabile del trattamento sono concetti funzionali: mirano a ripartire le responsabilità in funzione dei ruoli effettivamente svolti. Ciò implica che lo status giuridico di un soggetto in quanto «titolare del trattamento» o «responsabile del trattamento» deve, in linea di principio, essere determinato dalle attività effettivamente svolte in una situazione specifica, piuttosto che dalla sua designazione formale in quanto «titolare del trattamento» o «responsabile del trattamento» (ad esempio in un contratto)” (v. punto 12 delle Linee Guida cit.).

Alla luce di tale conclusione, deve ritenersi che la scelta di Poste e della Banca di nominarsi reciprocamente responsabili del trattamento (ex art. 28 del Regolamento) nella fase di comunicazione dei dati personali degli interessati -pur essendo espressione di precise scelte dalle stesse operate e documentate da “Convenzioni” sottoscritte da entrambe- non corrisponde né al dettato normativo secondo il quale il responsabile è il soggetto “che tratta i dati personali per conto del titolare” (art. 4, n. 8 del Regolamento) e che “è chiamato a seguire le istruzioni impartite dal titolare […] per quanto concerne la finalità del trattamento e gli elementi essenziali che ne costituiscono i mezzi” (v. EDPB, Linee guida n. 07/2020, cit., pag. 28), né trova fondamento nella valutazione fattuale del rapporto, dalla quale emerge invece che la comunicazione delle informazioni non viene effettuata da una parte nell’interesse dell’altra, bensì da ciascuna per finalità proprie, in quanto necessaria all’esecuzione dei rispettivi rapporti contrattuali o delle misure precontrattuali richieste dall’interessato; ne consegue, che le Parti agiscono quali autonomi titolari del trattamento.

La qualificazione soggettiva proposta da Poste e dalla Banca, non risulta, pertanto, corrispondente alla realtà fattuale del trattamento, con immediate ripercussioni anche sulla conformità alla normativa in materia di protezione dei dati personali dell’informativa rilasciata agli interessati, ai sensi dell’art. 13 del Regolamento.

L’informativa, infatti, nel caso di specie, non risulta adeguatamente formulata, considerato che, con riferimento al trattamento dei dati degli interessati effettuato nell’ambito dell’attività di promozione e collocamento del “Prodotto BancoPosta”, la stessa avrebbe dovuto indicare i destinatari o le categorie di destinatari dei dati personali degli interessati (art. 13, par. 1, lett. e) del Regolamento) e le ulteriori informazioni per assicurare, nel rispetto dei principi generali di cui all’art. 5 del Regolamento, un trattamento corretto e trasparente nei confronti degli interessati.

Tanto considerato, per tutte le ragioni complessivamente evidenziate, risulta che il titolare abbia posto in essere una condotta in contrasto con l’art. 5, par. 1, lett. a) e con l’art. 13 del Regolamento con riferimento alle informazioni fornite agli interessati.

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2 del Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni acquisite nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino, pertanto, inidonee a disporre l’archiviazione, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato da Poste, risulta, infatti, illecito nei termini esposti, con riferimento alla violazione dei principi di correttezza e di trasparenza in quanto posto in essere in violazione degli artt. 5, par.1, lett. a) e 13 del Regolamento.

La violazione delle disposizioni sopra richiamate comporta l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett.re a) e b) del Regolamento.

Per quanto concerne l’esercizio dei poteri correttivi di cui all’art. 58, par. 2, del Regolamento, si prende atto delle dichiarazioni rese da Poste Italiane S.p.A., nelle proprie memorie in merito alla circostanza di avere già provveduto ad adottare alcune misure volte ad allineare, in conformità al quadro normativo sopra descritto, il trattamento dei dati posto in essere in tale ambito.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Poste Italiane S.p.A., di cui è stata accertata l’illiceità, nei termini sopra esposti.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le circostanze di seguito riportate:

- in relazione alla gravità delle violazioni, è stata considerata rilevante la natura delle stesse in quanto concernenti l’inosservanza dei principi generali del trattamento, e in particolare il principio di correttezza e trasparenza in relazione al contenuto dell’informativa fornita agli interessati -ovvero a tutti i clienti che hanno richiesto un finanziamento relativo a prodotti collocati da BancoPosta- di disporre di informazioni corrette e trasparenti in ordine al trattamento dei propri dati (art. 83, par. 2, lett. a) del Regolamento);

- rispetto all’elemento soggettivo, si è tenuto conto del carattere colposo della violazione riconducibile a una erronea interpretazione dei ruoli soggettivi ricoperti in alcune fasi del processo di richiesta del prestito BancoPosta (art. 83, par. 2, lett. b) del Regolamento);

- il fatto che Poste abbia spontaneamente adottato un insieme di misure atte a mitigare o a eliminare le conseguenze della violazione (art. 83, par. 2, lett. c) del Regolamento) quali: la cancellazione dei dati dell’interessata, informando tempestivamente quest’ultima; l’aggiornamento dell’informativa, riportando una descrizione più dettagliata e chiara dei trattamenti effettuati,; l'avvio di un tavolo di lavoro con la Banca per revisionare gli accordi contrattuali in essere e “conseguentemente superare la qualifica della Banca […] come responsabile del trattamento”

- l’assenza di precedenti pronunce da parte dell’Autorità nei confronti di Poste rispetto alla medesima fattispecie, nonché di reclami analoghi a quello oggetto del presente provvedimento (art. 83, par. 2, lett. e) del Regolamento); 

- la circostanza che Poste abbia effettivamente cooperato con l’Autorità nel corso del procedimento (art. 83, par. 2, lett. f) del Regolamento).

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Poste Italiane S.p.A., la sanzione amministrativa del pagamento di una somma pari ad euro 48.000,00 (euro quarantottomila,00).

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, rileva l’illiceità del trattamento effettuato da Poste Italiane S.p.a., in persona del legale rappresentante pro-tempore, con sede legale in Roma, Viale Europa 190, C.F. n. 01114601006, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, a Poste Italiane S.p.A., di pagare la somma di euro 48.000,00 (euro quarantottomila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi a Poste Italiane S.p.A. di pagare la predetta somma di euro 48.000,00 (euro quarantottomila/00) secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si rappresenta che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento -sempre secondo le modalità indicate in allegato- di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

DISPONE

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/20129, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/20129, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.                      

Roma, 7 ottobre 2026                     

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori